[Решено]shorewall настройка NAT

Ответить
banzay242
Сообщения: 790
Зарегистрирован: 18 авг 2017, 10:50
Operating system: MATE в релизе R10
Откуда: Уфа Омск

[Решено]shorewall настройка NAT

Сообщение banzay242 » 31 май 2018, 13:03

Есть у кого опыт успешной настройки shorewall, настройка NAT?
iptables почему то не жует стандартные цепочки в предыдущей теме NAT телодвижения описаны.
Последний раз редактировалось banzay242 01 июн 2018, 14:38, всего редактировалось 1 раз.

Аватара пользователя
Yamah
Сообщения: 1361
Зарегистрирован: 04 май 2012, 06:30
Operating system: Десктоп (дом): Rosa Fresh R8.1, Rosa Fresh R10
Десктоп (работа): Rosa Fresh R8.1/Rosa Fresh R10
Сервер (работа): Rosa Enterprise Linux Sercver 6.7
Нетбук: Rosa Fresh R10
Контактная информация:

Re: shorewall настройка NAT

Сообщение Yamah » 31 май 2018, 16:49

По-моему, у вас не все в скрипте разрешено.
Смотрите мой ответ в той теме.

banzay242
Сообщения: 790
Зарегистрирован: 18 авг 2017, 10:50
Operating system: MATE в релизе R10
Откуда: Уфа Омск

Re: shorewall настройка NAT

Сообщение banzay242 » 01 июн 2018, 14:36

настраивал по этой инструкции, работает, при статическом ip у клиента прописываем днс провайдера или яндекс например.

Код: Выделить всё

Shorewall: файрволл для всех 
Запуск и остановка
Поскольку все мы нетерпеливые, захочется сразу позапускать новую софтинку. Делать это можно не только инит-скриптом, но еще и командами 
shorewall {start,stop,restart}
, что во время отладки даже предпочтительнее — об ошибках будет написано прямо в консоли.

Замечание к конфигурации
Все стандартные конфиги надо брать из тех, что поставляются в коробке. Они содержат не только осмысленные комментарии о назначении файла, но и маркеры для парсера, работоспособность систеы без которых не гарантируется. В убунте они оказались в /usr/share/doc/shorewall-common/default-config.
Сама конфигурация файрволла лежит в /etc/shorewall, далее все конфигурационные файлы без путей должны лежать именно там.

Конфигурация типичного домашнего роутера
1. Зоны.
Правила хождения пакетов в Shorewall используют абстракцию зон — все сети, которые вы хотите обрабатывать, надо как-то обозвать. Для начала следует определиться с названиями зон. В моем случае их будет 4: необходимая зона, содержащая сам файрволл, домашняя сетка с DHCP, провайдерская локалка и интернет через PPPoE. Не забудьте скопировать заготовку из вашего пакета! Конфиг получился примерно такой:
# cat zones |tail -7
#ZONE   TYPE    OPTIONS                 IN                      OUT
#                                       OPTIONS                 OPTIONS
fw      firewall
inet    ipv4
nbn     ipv4
mork    ipv4
#LAST LINE - ADD YOUR ENTRIES ABOVE THIS ONE - DO NOT REMOVE
Здесь nbn — провайдерская локалка (да-да, нетбайнет), mork — домашняя говносетка.

2. Интерфейсы и хосты
Когда вы определились с тем, какие у вас будут зоны, нужно сказать, как поделить между зонами сетевые интерфейсы (l2) и IP-сети (l3).
В файле interfaces надо перечислить все обрабатываемые интерфейсы. Делается это в формате «В этой зоне будет этот интерфейс целиком», поэтому при делении интерфейса на несколько зон вместо зоны надо указать прочерк.
Мой простейший вариант:
# tail -5 interfaces
#ZONE   INTERFACE       BROADCAST       OPTIONS
mork    lan             detect          dhcp
inet    ppp+            detect
nbn     prov            detect
#LAST LINE -- ADD YOUR ENTRIES BEFORE THIS ONE -- DO NOT REMOVE
Да-да, у меня сетевухи называются lan и prov. У большинства это будет eth0, eth1, etc.
Как видно из примера, можно использовать маски. В данном случае под ppp+ попадут разнообразные PPP-туннели, в том числе и ppp0.
При делении одного интерфейса на несколько зон следует в файле host указать, какая подсеть какого интерфейса в какую зону попадает. Синтаксис там простой — «зона интерфейс: подсеть», с возможностью добавления исключений.

3. Политики
Когда вы разделили окружающий мир на зоны, обязательно надо сказать, кому что можно делать по умолчанию. Называется это дело политиками, лежит в файле policy, необходимо определить политики для всех возможных направлений пробегания трафика. Лучше всего в конец дописать дефолтную политику, а чуть выше — исключения:
# tail -6 policy
#SOURCE DEST    POLICY          LOG     LIMIT:          CONNLIMIT:
#                               LEVEL   BURST           MASK
fw      all     ACCEPT
mork    all     ACCEPT
all     all     REJECT
#LAST LINE -- DO NOT REMOVE
Здесь я разрешил весь трафик из моей домашней сетки и с файрволла куда угодно, а все остальное запретил
4. Первый полет
На этом этапе конфиг должен скомпилироваться и заработать. Только вот интернет будет только на файрволле — ведь мы не настроили NAT. Но когда что-то работает, это уже радует :)
5. Настройка NAT
Маскарадинг, как всегда, включается просто. Обратите внимание: указываются не зоны, а интерфейсы. Можно указать IP-подсеть, можно делать исключения. Файл masq:
# cat masq |tail -3
#INTERFACE              SOURCE          ADDRESS         PROTO   PORT(S) IPSEC   MARK
ppp+,prov               lan
#LAST LINE -- ADD YOUR ENTRIES ABOVE THIS LINE -- DO NOT REMOVE
6. shorewall.conf
Добрались до того, куда надо было залезать в самом начале, но было лень и непонятно. В этом файле лежит конфигурация парсера, некоторые особенности поведения и прочая ахинея. Правим и обращаем внимание на следующие параметры:
STARTUP_ENABLED=Yes — пусть запускается
VERBOSITY=1 — многословность в консоли
SHOREWALL_COMPILER=perl — чтобы не перепуталось, если что
*_LOG_LEVEL — когда все заработаеткак надо, поставьте в none, чтобы не засоряло dmesg
LOG_MARTIANS — так же
IP_FORWARDING=On — для маскарадинга очень нужно. Можно, кончно, и в sysctl.conf это делать, но тут уместнее
CLAMPMSS=Yes — лучше включить, если у аплинка MTU меньше, чем у какой-нибудь из машин в домашней сетке. 
                   No здесь может привести к крайне неприятному багу с неработающей википедией на части компов.
ADMINISABSENTMINDED=Yes — не мните себя б-гом, оставьте так
7. Правила (ну наконец-то!)
Для полностью корректной работы я бы здесь еще разрешил весь ICMP. Заодно SSH снаружи. Файл rules:
# cat rules |tail -11|grep -v ^#SECTION|head -5
#ACTION         SOURCE          DEST            PROTO   DEST    SOURCE          ORIGINAL        RATE            USER/   MARK  CONNLIMIT        TIME
#                                                       PORT    PORT(S)         DEST            LIMIT           GROUP
SECTION NEW
ACCEPT          all             all             icmp
ACCEPT          inet            $FW             tcp     22
7a. Port-forwarding описывается там же:
# cat rules |grep -E '(#ACTION|DNAT)'
#ACTION         SOURCE          DEST            PROTO   DEST    SOURCE          ORIGINAL        RATE            USER/   MARK  CONNLIMIT        TIME
DNAT            all             mork:navoff:31840 udp   31840
DNAT            nbn             mork:navoff:7777 udp    7777
DNAT            nbn             mork:navoff:7777 tcp    7777

8. Profit!
К этому моменту у вас должен быть полностью настроенный домашний роутер с NAT из домашней сетки во все стороны и с порт-форвардингом. Снаружи позволены только ICMP и SSH. Все конфигурационные файлы (5 новых, 1 подправленный) содержат строки, в которых сложно ошибиться, конфигурация легко переносится на машины с другим именованием сетевых карточек, другими адресами присоединенных сетей. Вы не паритесь о флагах TCP-пакетов, о происхождении входящих UDP-пакетов (о, как я дебажил DNS с простым iptables и политикой «все входящее запрещать»). В дебиане и убунте еще следует подправить /etc/default/shorewall, чтобы инит-скрипт мог нормально отрабатывать, местами нужно внести shorewall в любимый ранлевел.

Ответить